Apple ha pubblicato aggiornamenti di sicurezza urgenti per correggere due vulnerabilità zero-day sfruttate in quello che l’azienda descrive come un “attacco estremamente sofisticato” rivolto a specifici utenti iPhone.
Le vulnerabilità, identificate come CVE-2025-31200 (con punteggio CVSS di 7.5) in CoreAudio e CVE-2025-31201 (con punteggio CVSS di 6.8) in RPAC, colpiscono l’intero ecosistema della casa di Cupertino: iOS, macOS, tvOS, iPadOS e visionOS.
Nel relativo bollettino di sicurezza, l’azienda di Cupertino afferma: “Apple è a conoscenza di una segnalazione secondo cui questo problema potrebbe essere stato sfruttato in un attacco estremamente sofisticato contro individui specifici presi di mira su iOS”.
Indice degli argomenti
Le vulnerabilità zero-day nel dettaglio
La prima falla (CVE-2025-31200), scoperta congiuntamente da Apple e dal team di Google Threat Analysis, riguarda il componente CoreAudio. Questa vulnerabilità permette l’esecuzione di codice remoto sul dispositivo attraverso l’elaborazione di un flusso audio contenuto in un file multimediale appositamente manipolato.
La seconda vulnerabilità (CVE-2025-31201), identificata direttamente da Apple, è un difetto nel componente RPAC che consente agli aggressori con accesso in lettura o scrittura di aggirare la funzionalità di sicurezza Pointer Authentication (PAC), meccanismo implementato in iOS per proteggere il sistema da vulnerabilità legate alla gestione della memoria.
Apple non ha divulgato ulteriori dettagli su come queste vulnerabilità siano state sfruttate negli attacchi, così da consentire a quanti più utenti possibile di applicare le patch prima che i criminali informatici riescano a sfruttare le vulnerabilità su larga scala.
Aggiornamenti e dispositivi coinvolti
Le vulnerabilità sono state corrette nelle versioni iOS 18.4.1, iPadOS 18.4.1, tvOS 18.4.1, macOS Sequoia 15.4.1 e visionOS 2.4.1.
L’elenco dei dispositivi interessati è particolarmente esteso e comprende sia modelli recenti sia altri più datati:
- iPhone XS e successivi;
- iPad Pro 13 pollici, iPad Pro 13.9 pollici di 3ª generazione e successivi, iPad Pro 11 pollici di 1ª generazione e successivi, iPad Air di 3ª generazione e successivi, iPad di 7ª generazione e successivi, iPad mini di 5ª generazione e successivi;
- macOS Sequoia;
- Apple TV HD e Apple TV 4K (tutti i modelli);
- Apple Vision Pro.
Raccomandazioni per gli utenti
Nonostante questi attacchi zero-day siano stati indirizzati verso bersagli molto specifici, si consiglia vivamente a tutti gli utenti di installare gli aggiornamenti il prima possibile per proteggere i propri dispositivi.
Con queste correzioni, dall’inizio dell’anno Apple ha risolto cinque vulnerabilità zero-day: la prima a gennaio (CVE-2025-24085), la seconda a febbraio (CVE-2025-24200), la terza a marzo (CVE-2025-24201) e le due appena corrette.
Il crescente numero di vulnerabilità critiche scoperte nei sistemi Apple sottolinea l’importanza di mantenere sempre aggiornati i propri dispositivi, anche in un ecosistema tradizionalmente considerato più sicuro rispetto ad altre piattaforme.
